Ein Sicherheitsforscher hat im Internet den Code eines Zero-Day-Exploits für Windows veröffentlicht, der den Namen BlueHammer trägt. Der Grund für diesen radikalen Schritt war ein Konflikt des Spezialisten mit dem Microsoft Security Response Center (MSRC) über die Bearbeitung des von ihm bereitgestellten Informationsprozesses.
Der unter dem Pseudonym Chaotic Eclipse auftretende Forscher hat am 3. April den Exploit-Code auf der Plattform GitHub veröffentlicht. Der Autor drückte seine Enttäuschung über die Einstellung des MSRC-Managements bezüglich der Informationen aus, die er zuvor über den Vorfall bereitgestellt hatte, und weigerte sich prinzipiell, technische Einzelheiten seiner Methode zur Offenlegung der Schwachstelle zu erklären. Der Exploit ermöglicht es einem lokalen Angreifer, seine Berechtigungen im System auf das Niveau SYSTEM zu erhöhen oder erweiterte Administratorrechte zu erhalten. Microsoft hat bisher kein Sicherheitsupdate veröffentlicht und lediglich einen allgemeinen Kommentar zur Wichtigkeit einer koordinierten Offenlegung von Schwachstellen abgegeben.
Will Dormann, der leitende Sicherheitsanalytiker des Unternehmens Tharros, hat die Funktionstüchtigkeit des Exploits bestätigt. Er erklärte, dass der Angriff ein lokales Privilegienaushebung darstellt, der eine Zeitüberprüfungs-zu-Zeitnutzungs-Schwachstelle (Time-of-Check to Time-of-Use, TOCTOU) und Verwirrung mit Pfaden kombiniert. Dieses komplexe Verfahren ermöglicht es einem Hacker, auf die Datenbank des Security Account Manager (SAM) zuzugreifen, in der die Passwort-Hashes lokaler Konten gespeichert sind. Dadurch ist es möglich, eine Eingabeaufforderung mit maximalen Rechten zu starten und den Computer vollständig zu kompromittieren.
Gleichzeitig weisen der Autor des Codes Chaotic Eclipse und externe Tester auf Fehler im Exploit hin, weshalb er instabil arbeiten kann. Insbesondere auf der Plattform Windows Server gewährt der Code nicht vollständige Systemrechte, sondern hebt diese nur auf das Administratorlevel mit einer Bestätigungsaufforderung an. Dormann vermutete, dass die Forderung von Microsoft, ein Video mit einer Demonstration des Hacks vorzulegen, den Autor irritiert haben könnte.
Obwohl die Schwachstelle ursprünglichen lokalen Zugriff erfordert, können Hacker diesen leicht im Voraus durch Social Engineering oder andere Software-Schwachstellen erlangen.
Quelle:
Quelle: 3dnews.ru
